NET::ERR_CERT_AUTHORITY_INVALID (Nicht vertrauenswürdiges Zertifikat)

Was dieser Fehler bedeutet und wie du ihn erkennst

• Chrome oder ein anderer Chromium-basierter Browser zeigt NET::ERR_CERT_AUTHORITY_INVALID an, anstatt die HTTPS-Seite normal zu laden.
• Der Browser stuft die Verbindung oder das Zertifikat als nicht vertrauenswürdig ein und zeigt möglicherweise eine erweiterte Warnseite an.
• Die Zertifikatdetails weisen einen unbekannten Aussteller, ein selbstsigniertes Zertifikat oder einen fehlerhaften bzw. unvollständigen Zertifizierungspfad aus.
• Der Fehler betrifft eine Website, während andere HTTPS-Websites funktionieren, oder er betrifft viele Websites, wenn ein lokales Sicherheitsprodukt oder ein Netzwerk-Proxy beteiligt ist.
• Der Website-Name kann korrekt erscheinen, obwohl das Zertifikat nicht vertrauenswürdig ist. Dadurch unterscheidet sich dieser Fehler von einer Warnung wegen eines nicht übereinstimmenden Hostnamens.

Hauptursachen nach Wahrscheinlichkeit

1. Selbstsigniertes oder privat ausgestelltes Zertifikat: Das Website-Zertifikat wurde nicht von einer Zertifizierungsstelle ausgestellt, der der Browser oder das Betriebssystem vertraut. Auf einer internen Entwicklungswebsite kann dies beabsichtigt sein, für die meisten öffentlichen Websites ist es jedoch unerwartet.
2. Fehlendes Zwischenzertifikat: Der Server sendet sein Leaf-Zertifikat ohne das Zwischenzertifikat, das für die Verbindung zu einer vertrauenswürdigen Root-Zertifizierungsstelle erforderlich ist. Manche Clients haben das fehlende Zertifikat möglicherweise im Cache, während andere die Kette ablehnen.
3. HTTPS-Überprüfung in Unternehmen, Schulen, Hotels oder anderen Netzwerken: Ein Proxy oder eine Sicherheits-Appliance kann das Website-Zertifikat durch ein Zertifikat ersetzen, das von einer lokalen Organisations-Zertifizierungsstelle ausgestellt wurde. Die Warnung erscheint, wenn diese Zertifizierungsstelle fehlt, beschädigt, unerwartet oder falsch bereitgestellt ist.
4. HTTPS-Scanning durch Antivirus- oder Endpoint-Software: Sicherheitssoftware kann verschlüsselten Datenverkehr prüfen und lokale Zertifikate ausstellen. Eine beschädigte Installation oder ein nicht vertrauenswürdiges lokales Zertifikat kann die Warnung verursachen.
5. Falsches Datum, falsche Uhrzeit oder falsche Zeitzone: Eine falsch eingestellte Geräteuhr kann dazu führen, dass Gültigkeitsdaten von Zertifikaten falsch erscheinen, und die Validierung beeinträchtigen.
6. Veralteter oder beschädigter Truststore: Dem Betriebssystem oder Browser fehlt möglicherweise ein erforderliches vertrauenswürdiges Root-Zertifikat, oder die Zertifikatsdatenbank ist veraltet oder beschädigt.
7. Captive Portal oder Netzwerkstörung: Ein öffentliches Netzwerk kann den Datenverkehr auf eine Anmeldeseite umleiten oder die erwartete HTTPS-Verbindung anderweitig beeinträchtigen.

So behebst du den Fehler

1. Umgehen Sie die Warnung zunächst nicht

Geben Sie auf einer Seite mit diesem Fehler keine Passwörter, Zahlungsdaten oder anderen vertraulichen Informationen ein. Fahren Sie nicht fort, wenn die Website unbekannt ist oder die Warnung bei einem sensiblen Dienst erscheint. Das Umgehen der Warnung kann eine Abfangaktion oder ein falsch konfiguriertes Zertifikat verbergen.

2. Stellen Sie fest, ob das Problem nur einzelne Websites betrifft

• Öffnen Sie mehrere bekannte HTTPS-Websites.
• Testen Sie die betroffene Website in einem privaten Fenster oder einem anderen Browser.
• Wenn nur eine Website fehlschlägt, ist wahrscheinlich deren Zertifikat oder die vom Server bereitgestellte Zertifikatskette die Ursache.
• Wenn viele Websites nur in einem Netzwerk fehlschlagen, prüfen Sie Proxy, HTTPS-Überprüfung, Antivirus-Filter oder Captive Portal.
• Wenn dieselbe Website auf verschiedenen Geräten und in verschiedenen Netzwerken fehlschlägt, melden Sie das Problem dem Websitebetreiber, statt wiederholt lokale Sicherheitseinstellungen zu ändern.

3. Prüfen Sie die Zertifikatdetails

Öffnen Sie auf der Warnseite das Zertifikat- oder Verbindungsdetails-Panel des Browsers. Notieren Sie:

• den Zertifikatsinhaber und die Abdeckung des Hostnamens;
• den Aussteller;
• Beginn und Ablauf der Gültigkeit;
• ob der Zertifizierungspfad fehlerhaft oder unvollständig ist;
• ob der Aussteller zu einem Unternehmen, einer Schule, einem Antivirus-Produkt oder einem lokalen Proxy zu gehören scheint.

Ein übereinstimmender Hostname beweist nicht, dass das Zertifikat vertrauenswürdig ist. Wenn der Aussteller unbekannt, privat ausgestellt oder unerwartet ist, installieren Sie ihn nicht einfach, nur um die Warnung zu entfernen.

4. Überprüfen Sie die Geräteuhr

Überprüfen Sie Datum, Uhrzeit und Zeitzone des Geräts. Aktivieren Sie gegebenenfalls die automatische Zeiteinstellung, schließen Sie den Browser, öffnen Sie ihn erneut und testen Sie die Verbindung noch einmal. Stellen Sie die Uhr nicht absichtlich um, damit ein Zertifikat als gültig erscheint.

5. Prüfen Sie auf ein Captive Portal

Öffnen Sie in einem öffentlichen Netzwerk eine nicht sensible Website und schließen Sie die normale Anmeldung oder Bestätigung der Nutzungsbedingungen des Netzwerks ab, falls diese angezeigt wird. Verbinden Sie sich anschließend erneut mit der HTTPS-Website. Geben Sie niemals Zugangsdaten auf einer Zertifikat-Warnseite ein, nur um eine Netzwerkanmeldung abzuschließen. Verwenden Sie stattdessen den normalen Portalablauf des Netzwerks oder bitten Sie den Betreiber um Hilfe.

6. Untersuchen Sie Proxy- und Sicherheitssoftware

Wenn der Zertifikatsaussteller einen Unternehmens-Proxy, ein Schulnetzwerk, ein Antivirus-Produkt oder ein Endpoint-Sicherheitstool nennt:

• Bestätigen Sie, ob die HTTPS-Überprüfung in diesem Netzwerk erwartet wird.
• Fragen Sie den Administrator, ob das Root-Zertifikat der Organisation über den genehmigten Prozess zur Geräteverwaltung installiert werden sollte.
• Aktualisieren oder reparieren Sie das Sicherheitsprodukt, wenn es sich um Ihre eigene Software handelt.
• Testen Sie nur dann über ein vertrauenswürdiges Netzwerk, wenn dies gemäß den Richtlinien Ihrer Organisation zulässig ist.

Laden Sie kein Root-Zertifikat von einer nicht verifizierten Website herunter. Durch die Installation eines Root-Zertifikats erhält dessen Inhaber weitreichende Möglichkeiten, Zertifikate als vertrauenswürdig erscheinen zu lassen.

7. Wenn Sie die Website verwalten, korrigieren Sie die Zertifikatskette

Stellen Sie sicher, dass das Zertifikat:

• den angeforderten Hostnamen abdeckt;
• innerhalb seiner Gültigkeitsdauer liegt;
• von einer von den vorgesehenen Clients vertrauenswürdigen Stelle ausgestellt wurde; und
• vom Server zusammen mit dem erforderlichen Zwischenzertifikat oder den erforderlichen Zwischenzertifikaten bereitgestellt wird.

Konfigurieren Sie den Server so, dass er die vollständige Kette sendet, statt darauf zu vertrauen, dass jeder Client fehlende Zwischenzertifikate findet. Testen Sie nach der Bereitstellung erneut mit mehreren Browsern, Geräten und Netzwerken. Eine öffentliche Website sollte kein selbstsigniertes oder privates Zertifikat verwenden, sofern nicht jeder vorgesehene Client absichtlich so konfiguriert ist, dass er der ausstellenden Stelle vertraut.

8. Aktualisieren Sie lokale Software nur, wenn die Hinweise auf das Gerät deuten

Installieren Sie ausstehende Updates für Betriebssystem und Browser über deren normale Update-Mechanismen. Wenn nur ein Browser betroffen ist, prüfen Sie dessen Proxy- und Zertifikatseinstellungen und testen Sie mit einem sauberen Profil. Wenn nur ein Gerät betroffen ist, sollte der Administrator dessen lokalen Truststore und Sicherheitssoftware prüfen. Löschen Sie keine Zertifikate und deaktivieren Sie die Zertifikatsvalidierung nicht, ohne zu wissen, welche Anwendung oder Organisation sie installiert hat.

Vorbeugung und Überprüfung der Lösung

• Halten Sie Betriebssystem, Browser und Endpoint-Sicherheitssoftware aktuell.
• Verwenden Sie gegebenenfalls automatische Einstellungen für Datum, Uhrzeit und Zeitzone.
• Installieren Sie von der Organisation verwaltete Root-Zertifikate nur über einen genehmigten Administrator oder Prozess zur Geräteverwaltung.
• Betrachten Sie unerwartete Zertifikat-Warnungen in öffentlichen Netzwerken als Sicherheitssignale und nicht als routinemäßige Aufforderungen zum Umgehen der Warnung.
• Websiteadministratoren sollten ein Zertifikat für den korrekten Hostnamen bereitstellen und die vollständige erforderliche Zwischenzertifikatskette senden.
• Laden Sie keine Zertifikatsdateien herunter und deaktivieren Sie keine HTTPS-Prüfungen aufgrund inoffizieller Anleitungen.

Häufig gestellte Fragen